NIS2 a zákon o kybernetické bezpečnosti: koho se týká a co splnit

Zákon č. 264/2025 Sb., kterým Česko provádí směrnici NIS2, platí od 4. 8. 2025 a účinný je od 1. 11. 2025. Týká se vás, pokud poskytujete službu z jednoho ze 15 odvětví a nejste malý podnik. Malý podnik má méně než 50 lidí a jeho roční obrat nebo bilanční suma nepřesahuje 10 milionů eur. Kdo tuhle hranici překročí a jeho služba je na seznamu, musí ji do 60 dnů nahlásit úřadu NÚKIB. Kdo to neudělá, riskuje pokutu až 250 milionů Kč.

Co NIS2 v Česku znamená

NIS2 je směrnice (EU) 2022/2555 ze dne 14. prosince 2022. Zákon č. 264/2025 Sb. ji převzal do českého práva a zrušil starý zákon č. 181/2014 Sb. Prováděcí vyhlášky vydal NÚKIB. Vyhláška č. 408/2025 Sb. určuje, které služby a firmy zákon řeší. Vyhlášky č. 409/2025 Sb. a č. 410/2025 Sb. říkají, jaká bezpečnostní opatření mají firmy zavést.

Nejsme advokátní kancelář a tohle není právní rada. Rozebíráme, co stojí v textu zákona a vyhlášek. Do jakého režimu vás zařadí, nakonec posoudí NÚKIB.

Koho se zákon týká: tři otázky

Zákon bere firmu jako poskytovatele regulované služby, když splní obě podmínky z § 4 odst. 1.

1. Odvětví. Vaše služba patří do jednoho z 15 odvětví: veřejná správa, energetika, výrobní průmysl, potravinářský průmysl, chemický průmysl, vodní hospodářství, odpadové hospodářství, doprava, digitální infrastruktura a služby, finanční trh, zdravotnictví, věda, výzkum a vzdělávání, poštovní a kurýrní služby, obranný průmysl a vesmírný průmysl. Které konkrétní služby se počítají, vyjmenovává příloha vyhlášky č. 408/2025 Sb. Samotný obor nestačí.
2. Velký či malý. Podle českého znění předpisu Komise 2003/361/ES má střední podnik méně než 250 lidí a roční obrat do 50 milionů eur nebo bilanční sumu do 43 milionů eur. Malý podnik má méně než 50 lidí a obrat nebo bilanční sumu do 10 milionů eur. Kdo malý není, počítá se jako střední nebo velký.
3. Vazby na jiné firmy. Do počtu lidí a peněz se vám započítají partnerské a propojené podniky. Zákon v § 7 písm. c) dělá jednu výjimku: nepočítají se firmy, jejichž technická aktiva jsou zcela oddělená od aktiv, která používáte pro regulovanou službu.

Malá firma nemusí být venku. Zákon v § 5 bere pod sebe i služby, které nikdo jiný v Česku neposkytuje, služby, jejichž výpadek zasáhne více než 125 000 lidí, a subjekty kritické infrastruktury. U nich velikost nerozhoduje.

Seznam v příloze vyhlášky č. 408/2025 Sb. je užší, než čekají firmy z výroby. Výrobní průmysl tam zahrnuje jen oddíly 26 až 30 CZ-NACE: počítače a elektroniku, elektrotechniku, stroje, motorová vozidla a ostatní dopravní prostředky. Výrobce nábytku nebo oděvů v něm nenajdete. Z IT oborů na seznamu stojí například cloud computing, datová centra a řízené služby včetně řízených bezpečnostních služeb.

Vyšší a nižší režim

Zákon dělí poskytovatele na dva režimy (§ 8). Který platí pro vás, říká příloha vyhlášky č. 408/2025 Sb. a u většiny služeb rozhoduje, jestli jste střední, nebo velký podnik. Poskytovatel řízené služby, který je střední podnik, spadá do nižšího režimu, velký podnik do vyššího.

U pokut platí vždy vyšší z obou částek a obrat se bere celosvětový, za předchozí účetní období.

Jak se vyšší režim staví v praxi, ukazuje stránka o NIS2 a kybernetickém zákonu. Nižší režim není úleva: má 13 opatření a hlásit incidenty musíte taky.

Lhůty, které musíte hlídat

• 60 dnů na to, abyste službu nahlásili NÚKIB. Čas běží od dne, kdy jste začali splňovat podmínky (§ 6 odst. 1). Pak úřad o zápisu rozhodne.
• 30 dnů od chvíle, kdy vám úřad rozhodnutí doručí, na kontaktní údaje a doplňující údaje: kdo firmu vlastní, jak služba technicky běží a kam sahá (§ 11).
• 1 rok od téže chvíle na to, abyste začali plnit bezpečnostní opatření (§ 13 odst. 4) a hlásit incidenty (§ 15 odst. 4).
• 24 hodin od chvíle, kdy incident zjistíte, na prvotní hlášení. U incidentu s významným dopadem pošlete do 72 hodin oznámení s prvotním posouzením a do 30 dnů od něj závěrečnou zprávu (§ 16).

Společné datum pro firmy, které pod zákon spadaly už 1. 11. 2025, jsme v textu nenašli. Zákon počítá 60 dnů od chvíle, kdy podmínky splníte. Pokud si nejste jistí, jestli jste službu nahlásili, zjistěte to hned: kdo službu nenahlásí, dopouští se samostatného přestupku s pokutou do 250 milionů Kč nebo 2 % obratu (§ 60).

Co zákon chce od šéfů firmy

Ochrana dat tu přestává být věcí správce sítě. Ve vyšším režimu statutární orgán podle § 4 vyhlášky č. 409/2025 Sb. prokazatelně absolvuje školení, zajistí bezpečnostní politiku a cíle ISMS, tedy systému, kterým firma řídí ochranu dat, a dá na něj peníze a lidi. V nižším režimu podle § 4 vyhlášky č. 410/2025 Sb. vedení jmenuje osobu pověřenou kybernetickou ochranou, také prokazatelně absolvuje školení a zajistí zdroje.

Zákon myslí i na postih. Pokud člen statutárního orgánu firmy ve vyšším režimu opakovaně nebo závažně poruší své úkoly a tím zmaří splnění rozhodnutí NÚKIB o nápravě, může mu úřad zakázat funkci nejméně na 6 měsíců (§ 58).

Co udělat ve firmě o 80 lidech

Vezměme příklad: firma vyrábí stroje, má 80 zaměstnanců a obrat 18 milionů eur. Stroje jsou oddíl 28 CZ-NACE a firma není malá, takže vychází nižší režim a vyhláška č. 410/2025 Sb. Postup:

1. Projděte přílohu vyhlášky č. 408/2025 Sb. a zapište si, kterou službu a který režim vám přisuzuje.
2. Do 60 dnů službu nahlaste NÚKIB. Určete, kdo za firmu jedná, a připravte údaje o vlastnících.
3. Jednatel jmenuje osobu pověřenou kybernetickou ochranou a sám absolvuje školení.
4. Sepište přehled bezpečnostních opatření: co už máte, co a kdy zavedete, co nezavedete a proč. Spousta opatření se překrývá s tím, co chce GDPR po technické stránce.
5. Projděte smlouvy s dodavateli. Pokud bezpečnostní opatření zavádí dodavatel, musíte ho podle § 13 odst. 5 vybírat podle požadavků na opatření a požadavky dát do smlouvy.
6. Vyzkoušejte, že opatření drží. Jak taková zkouška vypadá, vysvětluje text o průběhu penetračního testu.

Ve vyšším režimu vydal NÚKIB 20. 10. 2026 průvodce aktivy a riziky se 14 přílohami se vzory dokumentů a stručný metodický postup k aktivům a rizikům. NÚKIB sám píše, že předložené vzory nepředstavují univerzální řešení. Firma je musí upravit.

Normu ISO 27001 vyhlášky nezmiňují, jako kostru pro vlastní ochranu ji ale firmy používají. Co obnáší, ukazuje stránka o ISO 27001.

Chyby, které se opakují

• Čekání na výzvu. Zákon firmě velí, aby službu nahlásila sama. Dopis od NÚKIB čekat nemá.
• Odhad podle oboru. Firma si řekne, že je výrobní, a počítá s tím, že zákon platí i pro něj. Stačí přitom otevřít přílohu vyhlášky č. 408/2025 Sb.
• Nižší režim jako úleva. Opatření i hlášení platí i v něm.
• Smlouvy bez požadavků. Dodavatelé podepisují smlouvy, které o ochraně mlčí, ačkoli zákon chce opak.

Zdroje

• Zákon č. 264/2025 Sb., znění účinné od 1. 11. 2025: https://www.zakonyprolidi.cz/cs/2025-264
• Vyhláška č. 408/2025 Sb., o regulovaných službách, účinná od 1. 11. 2025: https://www.zakonyprolidi.cz/cs/2025-408
• Vyhláška č. 409/2025 Sb., účinná od 1. 11. 2025: https://www.zakonyprolidi.cz/cs/2025-409
• Vyhláška č. 410/2025 Sb., účinná od 1. 11. 2025: https://www.zakonyprolidi.cz/cs/2025-410
• MPO, č. 7/2023 Sb., české znění předpisu Komise 2003/361/ES: https://www.zakonyprolidi.cz/cs/2023-7
• NÚKIB, průvodce aktivy a riziky, 20. 10. 2026: https://nukib.gov.cz/cs/infoservis/aktuality/2469-rizeni-aktiv-a-rizik-krok-za-krokem-nukib-vydal-noveho-pruvodce-i-metodicky-postup